CVE-2024-47880

OpenRefine qarışıq məlumatlarla işləmək üçün pulsuz və açıq mənbəli alətdir. Versiya 3.8.3-dən əvvəl, `export-rows` əmrindən elə istifadə edilə bilər ki, o, sorğunun bir hissəsini olduğu kimi əks etdirsin və Content-Type başlığı da sorğudan götürülsün. Hücumçu istifadəçini daxil edilmiş JavaScript kodu olan form POST göndərən zərərli səhifəyə yönləndirə bilər. Bu kod daha sonra hücumçu tərəfindən idarə olunan `Content-Type` başlığı ilə birlikdə cavaba daxil edilir və beləliklə, qurbanın brauzerində sanki OpenRefine-ın bir hissəsiymiş kimi icra oluna bilər. Hücumçunun təqdim etdiyi kod, layihələrin silinməsi, verilənlər bazasının şifrələrinin əldə edilməsi və ya həmin genişlənmələr mövcud olduqda ixtiyari Jython və ya Closure ifadələrinin icrası daxil olmaqla, istifadəçinin edə bildiyi hər şeyi edə bilər. Hücumçu ən azı bir sətiri olan layihənin etibarlı layihə ID-sini bilməlidir. Versiya 3.8.3 bu problemi aradan qaldırır.